Dasar Keselamatan Siber
DropBG (dropbg.io) • Pendedahan Kerentanan Terselaras
Dasar
Kami menghargai minat anda dalam membantu kami meningkatkan keselamatan kami. Sila ikuti peraturan di bawah untuk mengurangkan sebarang risiko implikasi undang-undang.
Garis Panduan Pendedahan Kerentanan Terselaras
- Elakkan perkongsian tanpa kebenaran. Semasa proses pendedahan terselaras, sila bincangkan kerentanan hanya dengan vendor yang terjejas, pemilik sistem dan kami.
- Beri masa untuk pembaikan. Tunggu untuk mendedahkan kerentanan kepada umum sehingga pihak yang terjejas mempunyai masa yang mencukupi untuk menanganinya, atau sehingga anda dan semua pihak—termasuk DropBG—mencapai persetujuan pendedahan.
- Minimumkan interaksi. Selepas anda melaporkan kerentanan, jangan berinteraksi dengan sistem yang terjejas lagi semasa proses pendedahan terselaras.
- Hadkan skop anda. Semasa menunjukkan bukti konsep (proof of concept), hanya lakukan tindakan minimum yang diperlukan. Jangan muat turun, ubah suai atau padam sebarang data melebihi apa yang diperlukan.
- Jangan melebihi akses anda. Elakkan meningkatkan keistimewaan atau meneroka sistem melebihi tahap minimum yang diperlukan untuk bukti konsep anda. Gunakan hanya akaun anda sendiri untuk ujian dan jangan sesekali mengambil data pengguna lain.
- Gunakan kaedah beretika. Jangan gunakan teknik brute-force atau kejuruteraan sosial untuk mendapatkan akses kepada sistem.
- Elakkan tindakan berniat jahat. Jangan lakukan serangan penafian perkhidmatan (DDoS) atau memasang perisian hasad atau virus.
- Sediakan alamat IP. Jika boleh, sertakan alamat IP yang anda gunakan semasa penemuan anda. Ini membantu kami menilai potensi eksploitasi dan mengurangkan amaran positif palsu.
- Maklumkan rancangan anda. Jika anda bercadang untuk mendedahkan penemuan anda kepada umum, contohnya dalam ceramah atau artikel, sila maklumkan kepada kami lebih awal.
Apa yang Dijangkakan daripada Program CVD Kami
- Perlindungan Undang-undang. Selagi anda mengikuti garis panduan kami, bertindak dengan niat baik dan tidak mempunyai niat jahat, anda tidak akan menghadapi tindakan sivil atau jenayah daripada kami kerana melaporkan kerentanan.
- Kerahsiaan & Tanpa Nama. Laporan anda akan dianggap sulit. Anda boleh memilih untuk kekal tanpa nama, dan kami tidak akan berkongsi data peribadi anda dengan mana-mana pihak ketiga tanpa persetujuan jelas anda.
- Pengiktirafan. Kami berbesar hati untuk memberikan kredit kepada anda dengan nama atau nama samaran sebagai pelapor kerentanan sebaik sahaja isu tersebut diselesaikan.
- Maklum Balas Tepat Pada Masa. Anda akan menerima pengesahan laporan anda dalam masa 3 hari bekerja, dan kami akan menilai isu tersebut dalam masa 5 hari bekerja.
- Komunikasi. Kami akan terus memaklumkan anda tentang perkembangan pembaikan kerentanan, dan sekiranya berlaku penerbitan CVE, kami akan menyelaras pendedahan dengan semua pihak yang terlibat.
- Pengiktirafan Wall of Fame. Kami adalah projek bebas dan tidak menawarkan ganjaran wang atau hadiah tunai. Sebagai menghargai sumbangan anda, kami dengan senang hati akan memaparkan nama atau pengendali anda pada Security Wall of Fame awam kami (melainkan anda memilih untuk kekal tanpa nama).
Untuk melaporkan kerentanan, hantar e-mel ke dropna@pm.me. Fail keselamatan RFC 9116 kami tersedia di /.well-known/security.txt.
Terakhir diubah suai pada 29 September 2026